本文档由 g2rain-iam 的 docs/development/code-conventions.md 自动同步生成。

# 代码约定

• Controller 负责协议边界、校验和响应映射，不承载密钥操作或复杂流程。
• 一次性凭据的读取与删除应原子化；TTL、算法和错误码使用具名配置或枚举。
• IdP 通用主体使用稳定模型，供应商字段不泄漏到无关模块。
• DTO/VO 明确输入输出方向，敏感字段禁止默认 toString、日志或序列化。
• URL、Cookie、Token、claims、state 和签名规范化必须有单元测试。
• 新安全逻辑覆盖成功、缺失、篡改、过期、未来时间、重复和并发路径。